PT-2026-49732
CVE-2026-53533
·
تاريخ النشر
2026-06-15
·
تاريخ التحديث
2026-09-18
الوصف من
CVSS 4.0
6.9
متوسطةالمقاييسAV:N/AC:L/AT:P/PR:N/UI:N/VC:N/VI:L/VA:L/SC:N/SI:H/SA:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات aiosmtplib الأقدم من 5.1.1
الوصف
يفشل البرنامج في رفض بايتات العودة إلى السطر وتغذية السطر (CRLF) المضمنة في عناوين البريد الإلكتروني. عندما يتم تمرير عنوان مقدم من المتصل يحتوي على هذه البايتات إلى الدوال
SMTP.mail() أو SMTP.rcpt() أو SMTP.vrfy() أو SMTP.expn()، يتم كتابة البايتات حرفياً إلى اتصال التحكم SMTP. وهذا يسمح للمهاجم بتنفيذ حقن أوامر SMTP عن طريق تهريب أفعال SMTP تعسفية مثل MAIL FROM أو RCPT TO أو RSET أو DATA أو AUTH إلى الجلسة. كما تتأثر الدالة SMTP.sendmail() أيضًا لأنها تمرر العناوين حرفياً إلى الدالتين SMTP.mail() وSMTP.rcpt(). وقد يؤدي ذلك إلى حدوث هجوم رفض الخدمة عن طريق إزالة التزامن بين مسار الأوامر والاستجابات، مما يتسبب في توقف العميل عن العمل، أو يسمح بإرسال رسائل عشوائية.التوصيات
قم بالتحديث إلى الإصدار 5.1.1 أو أحدث.
كحل مؤقت، قم بتقييد أو تنقية أي بيانات متأثرة بالمستخدم يتم تمريرها إلى الدوال
SMTP.mail() وSMTP.rcpt() وSMTP.vrfy() وSMTP.expn() وSMTP.sendmail() لضمان عدم وجود أحرف CRLF. وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾